@namewta/speculo 1.0.6 → 1.0.8

package/template/workflows/ops/common/service-profiles/elasticsearch.md

@@ -0,0 +1,13 @@
+# elasticsearch 服务档案
+
+提供者是独立 elasticsearch 项目（或用户选定的 kebab ID），`service_type` 用实际产品名，不伪装成内置分配 adapter。image 固定摘要。数据在 `data/elasticsearch/data`，日志在 `logs/elasticsearch`；容器内 data/logs 路径按所用镜像 VOLUME 显式 bind，禁止匿名卷。
+
+官方 Elasticsearch 8 会在启动时写 `elasticsearch.keystore`（临时文件 `elasticsearch.keystore.tmp`）。把 config/data/logs bind 到项目目录后：
+
+- 容器用户必须能写 data 与实际 keystore 目录；不要把 keystore 放进只读 config bind。
+- 仅当镜像仍必须写容器根文件系统时，才允许 `read_only: false`，并提供不少于 12 字符的 `writable_root_justification`。默认仍是只读根。
+- `config/` 与 `*.conf`/`*.yml` 默认文件模式 0644，供非 root 镜像用户读取；config/env bind 必须 `read_only: true`。
+
+生产健康检查不能只用 docker-proxy 上的 TCP。Compose 服务应声明 `healthcheck`；`compose --wait` 之后执行器要求 `State.Status=running`、非 OOMKilled/Restarting，若存在 Health 则必须 `healthy`。
+
+没有内置集群分配/账号 adapter。跨项目访问通过 existing + 实际授权探测，或专用 host/project 脚本；不能把「能 compose up」写成已具备逻辑资源恢复能力。备份使用该版本可验证的 snapshot/仓库工具；单 APP 回滚不得恢复整个集群。

package/template/workflows/ops/common/service-profiles/redis.md

@@ -2,6 +2,10 @@
 
 提供者独立 redis-main 项目，service_type=redis，service.compose_service 指向实际服务。数据在 data/redis/instance；ACL 文件配置为 data/redis/acl/users.acl（service.acl_persistence 必须完全匹配），容器 ACL 写入路径必须映射到这个项目数据目录，不能将 ACL SAVE 写到只读 config。
 
+`config/redis.conf` 以及 `*.acl` 默认文件模式 0644。Redis 镜像若以非 root 用户运行，0600 root 配置会导致 `can't open config file` 后重启循环。config bind 必须只读；可写数据只在 data/logs/run。不要为了读配置而把整个容器根改成可写。
+
 每个 APP 使用不同 ACL username、prefix 和凭据；禁用/限制危险管理命令，内置分配使用受限命令类别。必须核验真实客户端兼容性、ACL SAVE 和新账号认证。prefix/数字 DB 不等于独立内存/CPU/备份恢复边界；要求强隔离时部署专用实例。
 
+生产健康检查使用 redis-cli PING 或镜像 healthcheck，不能把 docker-proxy 的 TCP listen 当成进程可用。无 healthcheck 时 `compose --wait` 只表示容器已创建。
+
 持久化 AOF/RDB 属于业务数据不是可随意清理的日志。公共实例恢复影响所有消费者，需要整体维护批准。

package/template/workflows/ops/common/templates/CONTROLLER-RECORD.md

@@ -1,13 +1,27 @@
 # 部署机完整明文记录
 
-此文件是内容合同，不含真实密码；实际生成器依据成功回执填入真实值，不把占位符当交付。
+此文件是内容合同；控制端总册在策略启用时于表格单元格内保存真实账号密码，服务端 README 默认仍不写密码。
 
-## 主机与项目部署矩阵
+## 服务一览表
+
+主机、服务（含主机级入口）、访问地址、账号、密码、版本、最近部署时间、持久化目录。特殊字符逐字保留。路径使用 Markdown，不用 HTML `<code>`。
+
+## 公网访问内网
+
+当前映射行、四层条件、新开公网 HTTP 清单、禁止项。与 Clash/TUN 出口不是同一条连接。
+
+## 说明
+
+特别约束、启停、备份恢复。不把每个项目 README 全文拼进 FLEET / 主机 DEPLOYMENTS。
 
 ## 真实用户名、密码、访问密钥与用途
 
+表格单元格 + 项目 OPERATIONS；未知旧密码不能编造。密钥认证记录实际认证方式。
+
 ## 服务端配置和 README 镜像位置
 
+hosts/<host_id>/deployments/<id>/server-files 与 server/README。主机级入口：hosts/<id>/knowledge/host-services.json。
+
 ## 运行记录、局部失败/unknown、双边回执
 
 ## 业务数据备份实际位置，不声称仅记录配置就备份数据

package/template/workflows/ops/common/templates/HOST-README.md

@@ -4,8 +4,18 @@
 
 ## host_id、实际身份、host_root、更新 UTC 时间
 
-## 同级 APP 与公共服务表、最后验证版本、目录
+## 服务一览表
+
+主机、服务（含 APP / 共享服务 / WireGuard / Nginx / 探测单元）、访问地址、账号（服务端不写密码）、版本、最近验证时间、持久化或配置路径。未写入 host_services 或部署账本的入口下次交付不会出现。
+
+## 公网访问内网（若已登记 public_ingress）
+
+映射表、四层条件、新开公网 HTTP 服务步骤、禁止暴露的端口。入口与出口不是同一条连接。
+
+## 说明
+
+各主机级服务的 ListenPort / 隧道地址 / 配置路径 / 规范，以及 APP 备份恢复摘要。完整启停命令在项目 README，不把项目全文拼进主机总册。
 
 ## 通用规范、知识与部署总册索引
 
-## 系统问题、依赖影响、备份与恢复说明
+`docs/standards/DEPLOYMENT-STANDARD.md`；`knowledge/host-services.json`；`knowledge/public-ingress.json`；`DEPLOYMENTS.md`。